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بسم الله الرحمن الرحيم 
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فالهر الاتقرتت السقلى ؟ الماك .. شقاياة اراد 





لست هنا بصدد كتابة مقالة تشرح لك كيف تخترق موقع , أو كيف تخترق جهاز ضحية ماء أو كيف 
تستولي على بريد إلكتروني . ولكن سأضع بين يدي القارئ الكريم الخطوط العريضة لأهم الثغرات ‏ 
الخيل » الأساليت : والآدوات التي يسنتخدمها الماكرو في فملياتهم.: 


أعترف لك عزيزي القارئ بأنني ترددت كثيراً قبل كتابة هذه المقالة . ترددت لأن هذه المقالة فعلا 
ستكون سلاح ذو حدين . سلاح بيد المبرمج و المطور و مستخدمي الحاسب عموما لكي يعرفوا 
تماما حجم المخاطر المحدقه بهم و يضعوا في حسبانهم كل ما سيقراونه في هذا المقالة من حيل و 
خدع و اساليب قد يستخدمها احد الهاكرز تجاههم . 


وهي سلاح أيضاً بيد من يمتلك نوايا سيئه و خبيثه و يريد فقط من يدله على بعض الأساليب و الحيل 
ليكون قد وضعه قدمه على أول الطريق في مجال تعلم و إحتراف الإختراق. لذا أستأذنك عزيزي 
القارة بعدم الخوض في يعض التقاصيل » فساكتقي يشبرح بعض الأمور شبرحا واضّعا يوضل المعلومة 
يشكل كافل ولكن قور المستطاع لن مستعيد اي شخص مين هذه المعلوويه لإستخداموا امتراض 
سيئه ( أعلم ان ذلك سيكون صعب ؛ ولكني سأحاول (: 


ملاحظة : فليعذرني القارئ الكريم إن كانت هناك مصطاحات عربية غير مفهومه . فقد إستخدمت 
مصطلحات التعريت القداسية في عض أرهاء هذه المفالة : و احيانا أخرى أضطررث لتغريبي عض 
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من هو الهاكر ؟ 


تعارف الناس على إطلاق مصطلح هاكر على الشخص الذي يقوم بإختراق التطبيقات 
أو الأجهزة أو الشبكات , أو يقوم بالتحايل للحصول على معلومات حساسة ( مثل 
يطاقتك الإتتمانية ء يحنسابك البنكى : فعلوفات بطافة التأمين ... الخ) : 


في هذه المقالة سنستخدم هذا المصطلح للدلالة على هذا المفهوم . ولكن لكي 
نضع الأمور في نصابها . أود أن أوضح أن هذا المصطلح بهذا المفهوم خاطئ . نعم هو 
كذلك :.مصطلح هاكر يطلق أساسا قلى الشخضص الذي يفثلك قدرات خارقة فى 
مجال البرمجة و التطوير و لديه موهبة عالية في التفكير المنطقي و الرياضي و 
يستطيع حل أي مشكلة برمحية مهما كانت معقدة بسرعة قائقة و بالطريقة الأفثل.. 


المهندسين فيها . يصنف هذا الرحل علميا ضمن فئة الهاكرز في المفهوم الصحيح 


حيث يمتلك هذا الرجل قدرات برمجية مذهلة ؛: نذكر منها على سبيل المثال برمجته 
للغة ©8851 في 8 أسابيع فقط ! علما أنه قام بتطوير هذه اللغة لصالح جهاز جديد 


حينها يطلق عليه 818151 لم يكن بيل جيتس يمتلك هذا الجهاز . 


و أعتمد فقط في برمجته للغة على الدليل الورقي لمعمارية الجهاز : و المذهل أنه 
قام بعرض اللغة على أحد الشركات و قام بتشغيل برنامج مفسر اللغة 6عاعم)ع]10 ) 
(لأول مرة بدون أي عملية تجربة سابقة ( لأنه لم يكن يمتلك الجهاز الذي صنع من 
أحله هذه اللغة ) .و كانت النتيجة برنافخ يتتفذ بدوث ظهوز أ خطا ! 


هذا أمر يعتبر في عرف المبرمجين أمر خرافي . لأن اي برنامج مهما كان صغير لا بد و 
أن تظهر فيه (غالبا (أخطاء كثيرة وقت البرمجة و بعد ذلك » فما بالك حينما يكون 
البرنامج هو مفسر للغة برمجة جديدة ! 


حيث تعتبر بروحه المعسرات عات 11610 01 كناعأ ملم من أعلى وأعقد مراتب 
الكلمة 0 سنستخدم كلمة تشاكر فى هذه المقالة للدلالة على الفقنتى الخاك 


والمنتشر وهو الشخص الذي يستخدم قدراته التقنية لأغراض خبيثه و غير شرعية. 
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الهاكرز و جهازك الشخصي 


عادة تكون أولى خطوات الهاكر المبتدئ هي محاولة إختراق الأجهزة الشخصية , 
عملية إختراق الأجهزة الشخصية عملية سهلة تحييا » لذا تكون هي الخطوة الأولى 
في رحلة ذلك الهاكر (إن صح تسميته هاكر) . 


على الرغم من إنتشار برامج الحماية في الفترة الأخيرة و إزدياد الوعي لدى 
مفستخدمي الاتقرنت:٠‏ الى إنه ما زا هناك من تتطلي :عليه حخيل بفضن قؤلاء الفاكزز 
ليتمكتوا من السيظرة على جهارة : 


بشكل عام لن يتمكن أي هاكر من اختراق جهازك الا اذا كات الجفاز مصاب» ببرنامخ 
يفتح باب خلفي 83010001 يسهل دخول الهاكر إلى الجهاز . هذه البرامج التي تفتح 
أبواب خلفية في جهازك تسمى أحصنة طرواده 01565 1030 و وظيفتها بالتحديد 


فتح منفذ 501 في جهازك يستخدمه الهاكر عن طريق برنامج إختراق جاهز و معد 
مسبقاً يحتوي على كافة الخصائص و الخدمات التي تخدم أغراض الهاكر و تسهل عليه 
مهامه . 

على سبيل المثال . سيتمكن الهاكر من قراءة كل حرف تكتبه على لوحة المفاتيح 
أثناء إتصالك بالإنترنت . أيضا سيكون بوسعه سحب كافة كلمات المرور الخزنه في 
الذاكرة » سيستطيع أيضا فتخ ملفاتك ٠‏ .قراءة رسائلك و.مشاهذتك غبر الكاميرا + بل 
مبفتطية مفشاركتك فى الفواقع القى تتضفحها و المخادتات الى تخريها! 


#غ اط لي 0ت » 


ِ 1 1 1 كا 001.1 7 :بترا ب 


1211511 ]- 150111-11 5 ]- 


5 مباة 035 3|111 081 0 


قاعة المطورين 12 0 © .311 ١‏ لاع ل . 19 39 59 
.ماصع مومع أصم عنابامم؟| - 18ل[ - 
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تنطلق شرارة المشكلة عندما تقوم بفتح تطبيق أو ملف لا تعرف مصدره سواء كان هذا 
الملف مرسل اليك عن طريق البريد الإلكتروني أو قمت بنفسك بتحميله على جهازك 
من أحد المواقع أو أحد الأقراض. التي حصلت عليها . 


بعض ملفات 'التجسس (أحصنة طروادة) تكون عضعنة ضمن خلفيئة شاشة حميلة أو 
لغية ضغيرة أز برتافخ تطييقى آخر مشهؤر ! عند تشفيبلك. لهذا 'التظبيق تكوت يسشاظة 
فتحت باب خلفياً :8361000 للهاكرز و سيكون بمقدوره إختراق جهازك و العبث فيه ,2 
كل ما سيحتاجه معرفة رقم الأي بي الخاص بك وقت إتصالك وهذه المعلومة من 
السدهل حذا الحضول: عليها جيل و اشاليبة لن أسمب في ذكزها خوقا من أن" تسششفل 
إستغلالاً سيئ! 


النصيحة : لا تفتح أي ملف أو برنامج يصلك عبر البريد الإلكتروني من شخص غير 
معروف ؛ او تجده في موقع غير مشهور ؛ و تاكد دائما من تحديث مضاد الفايروسات 


وملفات التجسس في جهازك بشكل دوري ( كل أسبوع على الأكثر ) . 


كما تأكد من تركيب جدار حماية ||ةل/لاء21] جيد مثل برنامج زون ألارم 3,10ام 2006 
لحماية فنافذ الجهاز و اقلاق الفتافذ المشهؤرة التى تستخدهها بعض تطبيقات 
الاختراق المتعشرة نين.نذعة الفبتةتين فن الفاكررا! 


الهاكرز و مواقع الويب 


هذا الفرع قد يكون متشعب جدا . و يصعب فعلاً تغطيته في مقالة أو حتى عشرة 
مقالات لأن هناك العديد من الحالات و الأساليب التي يمكن نصنفها تحت مسمى 
إختراق المواقع . فمن الممكن مناقشة هذا الموضوع من جهة مطوري الموقع . أو من 
جهة أصحاب و ملاك المواقع ؛ و نظرا لأهمية الناحيتين . فسأناقش ا 
الجانبين بشكل مختصر و غير مخل بإذن الله. 


أصحاب المواقع .. و الإختراق 


أنت تضتلك_موقهنا : 5[ اناك «قاالحة لملايين النشي يفهلها قنور ففظ روه سن 
البيانات (اسم مستخدم وكلقة زور ) الحصول على زوع البيانات هذا قو مهفة 
ذلك القاكر» و أحيانا كوت غير مضطر لفعرقة هذه البيانات »-بيساطة يمكن للماكر 
اسغلال أحد رات نظاج التشغفيل فى سعيرقر الشركة المستطيفة لموفعك : أو 
إمستغلال ثقرة من تغرات التطبيقات الي تقوم يتركبيها فين موقفتك مقل الفتتدرات 
أوالمجلات الإلكترونية أو أي تطبيق تقوم بتركيبه . 


معرفة هذه الثغرات ليس بالأمر الصعب . يكفي أن يقوم أحد الهاكرز بالإشتراك 
بالرسائل الإخبارية التي تاتي من شركة 8/ المنتجه لبرنامج المنتديات الشهير و التي 
تبلغ عن أي ثغرة تكتشف في النظام ليذهب ذلك الهاكر مسرعا يبحث عن منتدى لم 
يقم بالترقية بعد و يستغل تلك الثغرة فيه! 
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نصائح أمنية لأصحاب المواقع 


- تأكد من شركة الإستضافة التي تتعامل معها من إصدارة نظام التشغيل و لوحات 
التحكم لديهم و قم بالبحث عن هذه الإصدارات و تأكد ما اذا كانت تحتوي على 
تغرات خظيرة أو لا. 


-إستخدم في موقعك ففظ البرمجيات التي تحتاج اليها فكرة الموقع. ففظط اذا كنت 
و 1 ال و ل ا ل ال ا 1 
داخلي 0 فلا تضع. 


- ركب دائما أحدث النسخ من البرمجيات التي تستخدمها في الموقع . سواء 
المنتديات أو المجلات الإلكترونية. 


- لا تبالغ في تركيب الإضافات الغير أساسية على التطبيقات ؛ هذه الإضافات ) تعرف 
أيضاً بالهاكات) تساهم كثيرا في فتح ثفغرات في موقعك . وذلك لأنها صممت و 
برمجت من قبل هواة ولم تبرمج من قبل الشركة المنتجه لنفس البرنامج ( على 
إختراق معظم المنتديات ؛ و العجيب أننا نرى بعض أصحاب المنتديات يتفاخرون بعدد 
الهاكات التي يستخدمونها و التي هي في الحقيقة أبواب خلفية مفتوحة لإختراق 
مواقعهم :( !! 


- أحرص دائما على تتبع أخبار البرمجيات التي تستخدمها في موقعك و تأكد من أنك 
تقوم بالترقية في حالة وحود ثغرة خطيرة وليس فقط في حالة وجود ميزة جديدة 
في البرنامج : كثرة الترقيات المبالغ فيها قد تسبب لك المشاكل ايضاً. 


- لا تثق في أحد ء لا تعطي بيانات موقعك لأي جهة غير رسمية . قد تحتاج الى 
تركيب برنامج او تصليح مشكلة في موقعك .: تاكد من انك تتعامل مع مواقع و جهات 
على درجة عالية من الموثوقية وليس مع بعض الهواة في المنتديات. 


لات 0 كثر من المعلوعات حدر بك إسغلالة للأعراض ١‏ 7 أو الإحصائية 


- حدد صلاحيات المشاركات في موقعك , اذا كنت تمتلك منتدى فلا تسمح للأعضاء 
بإضافة وسوم 111/1] أو جافا سكريبت . احدهم قد يسرق ملفات الكوكيز الخاصة بك 
بهذه الطريقة!! 

إذا لم تكن قادرا على تولي تنفيذ هذه النصائح الأمنية بنفسك ؛ فيمكنك إستئجار جهة 


خارجية لتقوم بذلك عنك . أحد أفضل المواقع العربية في هذا المجال هو موقع 
الحليت الاسة و المسخصص بتفديور الخدمات الأمقية لأضحاب الفواقع : 
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الهاكرز يا مطوري تطبيقات الويب! 


هل سمعت عن 55 ؟ 

هل تعرف ما هي حقن لغة الإستعلام 107[©6]101 5001 

هل قرات عن إقتحام الجلسات 50أ11[361 555101 

حسنا . هل قرات عن ال681010ع101 لجان , 

ماذا عن ال اة5اع/١1131‏ لإامأعع]أنا ,2 

وماذا عن التلاعب بالمتغيرات7 3]00الامأمقلا دكعغاعمق,هم 


حسناً ... هذه الأسئلة ستعطي إنطباع عن أن الموضوع متشعب جداً . لم أذكر هنا الا 
أهم و أشهر أنواع المشاكل و الثغرات. التي يستغلها الهاكرز لتدمير التطبيقات التي 
تبرمجها » واذا كنت لم تسمع بواحد أو أكثر من هذه المصطلحات . فأنت في خطرا 


بما أن هذا الجزء من المقالة يهم مطوري المواقع أكثر من غيرهم . فلن أسوب كثيراً 
بشرح هذه المصطلحات و طريقة عملها ؛ أتوقع أنك كمطور قادر على البحث بنفسك 
عن تفاصيل هذه المصطلحات و معرفة ما هو المعني البرمجي لها بالضبط . عموما , 
ساذكر رؤوس أقلام عن هذه المصطلحات للمهعتمين بتنمية ثقافتهم الأمنية في شتى 
المجالات. 


ال 1م5621 516 1055© 


يطلق عليها إختصاراً 55 وليس 655 تميزاً لها عن صفحات الأنماط المتعددة 
أع©50 عا/أ5 2350230179: بإختصار هي نوع من الهجمات التخريبية على تطبيقك يحدث 
عندما يتمكن احدهم من إدخال بيانات مختطلة مع بعض الأوامر في نماذج صفحات 
موقعك ينتج عن ذلك تشويه شبكل صفحة موقعك أو إظهار رسائل خطأ متكررة عند 
زيارة الصفحة التي تم تخريبهاء أو سرقة بعض البيانات الحساسة من الزوار أو صاحب 
الموقع نفسه ! 


تنتج هذه المشكلة نتيجه عدم فحصك لمدخلات الزوار في النماذج و سماحك لهم 
بإدخال وسوم 11111 او ]م5611 317/3[ في نماذج الموقع مما يجعلهم قادرين على تلويث 
صفحات موكعك بشيعرات ١‏ يي د اك ماود بو د دم ا لك ار 
الها مكلك قا على الي 5 حرنيا ار اوه 
شكل التطبيق . لعلك تتذكر عزيزي القارئ التغرة التي كان مصاب بها نظام بريد ال 
|1003 اقبل سنتين تقريبا » و التي كانت تسمخ للهاكر بقراءة صندوق البريد الوارد 
للضحية . تلك الثتغرة كانت تصنف تحت ال! 755 
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ال 1:116©11011 501 


فحت هذه النفظة وناجاك غديوي القارعة إلى مقالة كنيدها منايقا عن :هذا الموضوءغ 
بالتحديد . المقالة هي: ال 10166100 501 سلاح الدمار الشامل ضد تطبيقات الويب , 


اتمدى أن تستمتع بقراءة تلك المقالة ,2 الموضوع خطير و يستحق مقالة منفردة. 





إقتحام الجلسات113©11110!! 56551011 


إقتحام الجلسات هي عملية السيطرة على جلسة المستخدم 5655100 الذي يقوم 

بإستخدام النظام ٠‏ عملية إقتحام الجلسه تلزم أن يقوم الهاكر بإلتقاط رقم الجلسة 
10 ممأودع5, أو توليد إحباري لها ع7060 عأن8 أو إعادة توليد للرقم ع5)ع/اع] 
ومأاع16و20: قد يبدو المفهوم صعب حالياً لذا سأسترسل بشرحه أكثر. 


من المعروف أن هناك نوعين من الجلسات الجلسات الدائمة 515]606)ع5 وهي التي 
يتم من اجلها تعريف ملفات الإرتباط (الكوكيز) و حفظها في جهاز المستخدم لكي 
يتعرف عليه النظام عند عودته في اي وقت مرة اخرى ! . 


النوع الثاني هي الجلسات الغير دائمة أمع]515]ء27010-8 وهي التي تنتهي بمجرد 

إغلاق المستخدم للمتصفح . في كلا النوعين يتم تعريف رقم جلسة (ا1 555101 

اللمسخدم: رقم الجلسه هذا يستترور لمعركه متعيرات المديت خدور اندي يرسلها أو 

البرمجة التي تستخدمها من خلال ل حرو ا الخلسية يا 
بعض المتغيرات الأخرى . 


بعض المبرمجين يكتفي بتوليد هذا الرقم بشكل إفتراضي دون أن يسعى لتشفيره أو 
إضافة المزيد من العوامل عليه لجعل عملية التوليد الإجباري أو إعادة التوليد له صعبة : 
وهنا تكمن المشكلة حيث يقوم الهاكر بمحاولة توليد رقم الجلسه بمعرفة بعض 
المعطيات اللحظية و يرسلها عن طريق 8600656 1118] إلى النظام الذي يقرأ رقم 
الجلسة وتقارنة يرقم الخلسه الموحود لدية في الذاكزة : فإذا تظابق » فهذا يعني من 
وحية بطر التظافر ان الماك قن الفس تحدم العمقي . 


و يمنحه بذلك حق الوصول لمنطقة المستخدم الخاصة ( حسابه البنكي على سبيل 
المناك. ( !! + الحدير بالذكر أن فجمات اك 85< يمكن أن تستخدم للاستيلاء قلى 


الجلسات و ذلك عن طريق تمرير كود جافا سكربت للنظام يقوم بقراءة رقم جلسة 
المستخدم و إرسال هذا الرقم للماكا! 
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نصائح لتجنب هذا النوع من المشاكل 
- حاول تشفير رقم الجلسه و تعقيدها قدر المستطاع 


- إستخدم ال ا55 لتشفير كافة البيانات الحساسة المرسلة و المستقبلة من و إلى 
نظامك 

- برمجياً قم بإنهاء أي جلسه يمضي عليها وقت كافي تقدر بأن المستخدم خلالها 
قد إنتهى فعلاً من عمله خلالها أو انه قد ترك شاشة النظام مفتوحة و لم يعد 
يستخدمها 


- حصن نظامك ضد هجمات ال755 


ال 11161101 1211© 


مصطلح 01511 هو إختصار ل لمعا عصنا , مانااعه 3136© ؛ ال 8© هو رمز الأسسكي 
3 ال اا هو رمز الأسكي 10 ؛: هذان الرمزان يستخدمها الويندوز عند الضغط على زر 
]0ط أي للنزول إلى سطر جديد . 


نظام لينكس يستخدم فقط الرمز تنا . بإختصار هذا النوع من الهجمات ليس خطير 
للغاية ؛ أقصى ما يمكن للهاكر فعله من خلال هذه النوعية من الثغرات هو تشويه 
شكل الصفحة ء بالتأكيد هذه المشكلة قد تكون حساسه حسب نوعية التطبيق الذي 
تقوم ببرمجته. 


هذا النوع من الهجوم يكون أيضا بسبب عدم فحص مدخلات المستخدم ( تماما كال 
71 الؤو ال ( 55 . تاكد من ان المستخدم لا يدخل علامة اما في 

المدخلات ( الا في الأماكن التي يسمح بها للمستخدم باستخدام هذه الرموز للنزول 

الى سطر جديد ) 

مثلا في نص الموضوع الذي يكتبه العضو في المنتدى يجب أن تسمخج له بإستخدام زر 


:16 الذي يتحول عند الضغط عليه إلى /5١6‏ ولكن غير مرئية ! . ولكن في عنوان 
الموضوع كوت الفاح للمستخدمر باذحال رمز 8115© مشكلة كبيرة! 
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التجول في المجلدات|ت5اء1:31 لأزماعع: 1م 


هذا النوغ من المجمات حظر ففلاً .'لن أبالة اذا قلت انيه العطر أنواغ الوجمات على 
الإطلاف »ما عمف من وطتنه بهو أنه ضعي التطبدق لان التضبرفات الخعيرمكن 
إمتتفلال: هرا الموة .فى الصراف فيها محدؤؤة هرا . ولكى هد اال نفع من أنه مطيوه 
خطر جدآ ! 


فكرة هذا النوع من الهجمات ببساطة هو أن يتمكن الهاكر من الخروج عن نطاق مجلد 
الجذر للموقع لوامءع 01 غ00 إلى مجلدات أخرى تعلو المجلد الجذري في المستوى , 
دعني اضرب مثال لتوضيح الصورة . في سيرفرات الويندوز التي تعمل بال 115 يكون 
مجلد الجذر للموقع عادة هو: 


00 نانالانا للا طاناماع 0:١1‏ 


هذا المجلد هو الذف تمواحد فيه ملفات موقعك بن بالثالى فإة الزوار ستفيكوة فقط 
من تضفخ الملفات الموحودة فى .هذا الهجلد و المخلدات الفرفية الموحود بداخله : 
ومنها على سبيل المثال مجلد 060/5 ؛ الصورة في الأسفل تعطيك إنطباع عن 
التسلسل التشحرى للمجلدات الى ناضرتب فنال عليها. 





زم ةمنومء ةا 
كلقماوسرمك 3 
5و3 3] ا 
دبعم ا 
اماه 2 


:دمملاك 3 





الأن تخيل لو أن لديك عنوان في تطبيقك الذي برمجته بهذا الشكل 





تحميل المزيد من الكتب : زهج . 23271203 ط-22 3 »1 . 1700/ / : قطصغغط 








حك لاله للقي ححرمء. 60010 19191//: اط 


العنوان يقوم بإستدعاء الملف 1.0101 و عرضه للمستخدم . الملف (11».]10؟ يفترض 
ان يكون موحود في نفس مجلد اع . إفترض الان لو ان الهاكر قام بالتلاعب في 
العنوان و كتبه بهذا الشكل: 





مصيبة ... لقد تمكن من مشاهدة ملف ال !! أمأ.(اع:ول/ا5 ماذا لو أن التطبيق الذي 
ملف< أل أ. لاع ]ولاك 


مما يعني تحكم كامل في موقعك من نظام التشغيل . ليس فقط في الموقع بل و في 
كامل السيرفر المستضيف لموقعك ! الأسوء مين ذلك تخيل لو ان نظامك يسمح 
تتخيل :بفعض التطبيقات على الموقع عن طريق أوافر الشل (١‏ يفترض انألا فبرمع هذا 
النوع من التطبيقات ! ) . لو تمكن الهاكر من الخروج من المجلد الجذري كما في المثال 
السابق + قد يتمكن من الوضول الى سطر الأوامر الرئيسي :و تثفيذ أمر ]206153 
للسيرفر بأكمله!! 


هذا النوع من الهجمات يمكن أن يحل بطريقتين . تراك تنب أن كدض الظريقتان 


1 - من خلال الشيفرة التي تكتبها . تأكد من فحصك لكافة المدخلات و المتغيرات 
الممررة إلى النظام . تأكد من أنها تقع ضمن النطاق المسموح به 


2 - من خلال إعدادات السيرفر الذي تمتكله ( أو تمتلكه الشركة المستضيفه لموقعك 
مدن ميل هذة الرعدادف سيف يم اخوطلتث للفضول ابي اق ملف شاه 
المجلد الجذري للموقع نفسه . قم بفحص السيرفر بنفسك مبدثيا عن طريق 
السماح من خلال الشيقرة بأث تفتخ ملف يقع خارج المجلد الجذري لموقعك : إن 
استطعت ذلك.فهذ| يعني أن إعدادات السيرقر المسغضيف لعوقمك غير امنة 5 
بكب أن تعندل بحت يمبع السبيرفن سه طلي أي ملق جارج تطاق المجلد 
الرنتسيي ‏ اطلب من الشتركة المستطيفة لموقفك تعديل ذلك ١‏ ومدورك غدل 
الستقفره كما ذكرنا :في النفظة رقهر 1 الفريد من الجتهارة: 
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التلاعب بالمتغيرات 35101آنام113:1! 5كاعاع11رج :جم 


احد اشهر حيل الهاكر للوصول الى فهم كامل عن طريقة تعاملك مع المتغيرات الممرره 
الى النظام الذي قمت ببرمجته . يتم ذلك عن طريق التلاعب بالمتغيرات الممرره إلى 
العنوان اكالا و تغيير قيمها او إرسال قيم مخالفة لنوعية المتغير نفسه . بحيث 
يستطيع الهاكر معرفة رسائل الخطا التي تصدر من النظام حينها . هذه الرسائل 
ستساعد الهاكر على فهم أكبر لتركيب النظام لديك . 


أيضا قد يستخدم الهاكر طريقة التلاعب بالمتغيرات لتمرير متغيرات جلسه 5655100 
عن طريق العنوان مباشرة و ليس من خلال المتصفح نفسه بال أوعنا0مع5 8112 . في 
لغة البرمجة التي تستخدمها يفترض أن يكون هناك طريقة لمعرفة ما اذا كان متغير 
الجلسه هذا ممرر عن طريق الطلب أو5ع/ا0ع5 12 11آ! من المتصفح نفسه ؛ او من 
العنوان! ا2الا كمثال أخر على هذا النوع من الهجمات ؛ نماذج صفحات الويب التي 
عم ليقوم الزائر بتعبئتها . إما لغرض المراسلة أو التتسجيل في الموقع أو 
شراء سلعة ... الخ . يسهل على الهاكر قراءة أسماء عناصر النموذج . 


هذه الأسماء بالتأكيد ستسخدمها أنت كمتغيرات في البرنامج الذي قمت ببرمجته , 
إنطلاقا من هذه المعلومة يستطيع الهاكر إستخدام النموذج (أو صنع نموذج مشابه ) 
مع تعديل قيم بعض الحقول لإحداث أثر ما على موقعك . لكي أوضح المسألة . دعني 
أذكر لك هذه القصة . 


موقع التسوق الخاص بشبكة ياهوو 5170010 3000/ . كان يستخدم طريقة محددة 
لتمرير سعر السلعة إلى صفحة الدفع ؛ فعند إختيارك للسلعة و تعبئته لنموذج بيانات 
الشحن . يكون سعر السلعة أو السلع التي أخترتها موجود في نفس نموذج الشحن 
ولكن في حقل مخفي 0ع1!00] لا يظهر للزوار و لكنه موجود في شيفرة 111/1] . قام 
أحذ الهاكر حينها بتعديل شيفرة ال 11101 و قلل من سهعر السلعة التي أزاذها إلى 
دولار واحد . و من ثم قام بتمرير الطلب بشكل طبيعي إلى صفحة الدفع . التي 
حسمت السعر (دولار واحد ( من بطاقته الإئتمانية و ظهر لمسؤولي الشحن أن هذا 
الدخل قد تت عملية اسشتخلاص الفبلغ من. يطاقته بتجاخ 4 أنه تستحق المتمحن 
للسلع التي طلبها !! 


الجميل في الأمر ان المشكلة أكتشفت فوراً و مصادفة من أحد مسؤولي أمن 
المعلومات في أحد الشركات العالمية و الذي قام بتنبيه ياهوو حينها لتراجع سجلات 
المدفوعات لديها خوفا من أن تكون هذه الثغرة أستغلت بكثرة حيث وجدت أنها 
أستغلت فقط لمرة واحده! 


حسنا أخي المطور . أعتقد انني إستطعت من خلال هذه النقاط المختصرة تنبيهك 
إلى خطر محدق قد يسبب في ضياع جهدك في التطوير و التتصميم بسبب أخطأ قد 
تبدو تافيه , ولكنها تكلف الكثير أحيانا !! أعتقد أنني يجب أن افرد مقالة كاملة عن كل 


جدي (: 
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رسائل الإحتياك 5623111 11110أوآاطط 


سمي عام 2004 بعام رسائل الإحتيال 56310 و(أطواط2 ؛ و أعتقد ان عام 2005 كان له 
نصيب أكبر كذلك . رسائل الإحتيال ببساطة هي رسائل تصلك على بريدك الإلكتروني 
يدعي فيها مرسلوها أعقرا يهدفون منها الى تحفقيق مكسب مادي أو معنوي . 


و أحيانا قليله لغرض التسلية فقط . على سبيل المثال . ظهرت قبل بضعة أشهر في 
الستخدمين . 


تظهر هذه الرسالة للوهلة الأولى بأنها مرسلة من بنك سامبا . حيث تطلب منك 
الرسالة ضرورة تحديث بياناتك البنكية عن طريق رابط موجود في نص الرسالة ؛ هذا 
الرابط يقودك إلى موقع مطابق في التصميم لموقع سامبا يطلب منك المحتال من 
خلاله إدخال بياناتك ( إسم المستخدم و كلمة المرور و معلومة إضافية هي رقم بطاقة 
الأحوال ! ). 


هذا مثال على أحد رسائل الإحتيال التي ظهرت في المملكة العربية السعودية : 
هذا النوع من الرسائل يظهر بشكل يومي في أمريكا و أوروبا م 1 
عزيزي القارئ مجموعة من أشهر أنواع رسائل الإحتياك: 


- رسائل تطلب منك إدخال بياناتك البنكية على نماض انها مرسلة من البنك الذي 


2- رسائل تظلب تسجيل مغلؤماتك الشخضية لأنك ريحت حائزة كبيرة! 


- رسائل تدعي انها من موقع البريد الإلكتروني ( هوتميل متثلاً ) . تطلب منك إعادة 
إدخال: كلمة المرو ا 


4 - لك ا ا جا اي لك ا اد ا 0 
المعلوفات سنيف | مستفيلك |وتخيرك ودف تواقك مع زراك حيادلة .دفن 
الكقيقة هذة المعلوهات طلبها صديق لك.نويد معرفة اسرار بجاتك [: 


- رسائل تدعي بأنها شركات لتشغيل الأموال في تجارة العملات و تدعي بأنها تملك 
برنامج مخفص اتباذل العملات القالصة! 


هناك العديد من أنواع الرسائل التي قد يخترعها أي شخص لأغراض التحايل . لا تثق 
باي رسالة تطلب منك أي معلومة شخصية . مهما بدت لك هذه المعلومة تافهه ؛ و 
مهما كان شكل الرسالة يوحي بأن مرسلها جهة موثوقة تعرفها جيدا . حتى ولو رأيت 
أن عنوان البريد المرسله من هذه الرسالة هو عنوان بريد جهة رسميه . فلا تثق بذلك 
بتاتا . من السهل جدا أن أرسلٍ لك رسالة تظهر لك بأن مرسلها هو العنوان : 
/001. 16010156 ا/ا© ونا ؛ فهل أنا الرئيس جورج بوش ؟ 
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الرسائل المضلله !5:1231 “اج10]! 
هذا النوع من الرسائل لا يسبب غالباً أخطار كبيرة . ولكنه مزعج ؛ و أحيانا مضحك ! 


هذه الرسائل تحنوي عادة على تحذيرات ن كاذبة من فايروس ليس له وجود و إنما ترسل 
هذه الرسالة لغرض إثارة الذعر ؛ أو تسبيب أضرار في أحيان كثيرة . إنتشار هذه 
الرسائل على النطاق العربي محدود جدآً و كان آخرها رسالة مضحكة تحذر بأن الملف 
“.1 الموجود في نظام التشغيل ويندوز كملف أساسي من ملفات النظام 
هو فايروس يستهدف العرب دوت غيرهم و أن مرسله شخص يهودي يقصد إستهداف 
العمسلمين 9 العزب 1 


طيها هذه الشائعة اتتشترت فى برنمالة عزوونا قبل شسوالى سكين باللقة. الإتخليوية 
(لم يروج حينها أن صاحب الفايروس يهودي يستهدف المسلمين ! ) . يبدو أن صاحبنا 
من التسكة الغربية من هذه الرسالة مقرم ينطونة: المفافية ١‏ المدرفة معلؤقات أكثر 
عن الرسائل العضللهو قائهة باخر الوسائل المضللة التي تظمر على الشاحة راشع 


هذا الرابط : لاطا قمحا /اعأداع /31 / امع .عع 311 0 لاك. الالانالانا / /:صاطا 


من خلال هدة المقالة حاولت تسليظ الضوة على غالمر القاكرد و أشهو اليل ث التغرات 
التي يستخدمها الهاكرز . و على الرغم من تشعب الموضوع و كثرة فروعه ؛ الا انني 
حاولت أن أطرق مفظم الأنواف أحيانا بأسلوب تقني بحت , و أحيانا بأسلوب عام 
المشاكل , التغرات لمر اتطرق ذها هتما ما يتغلق بعمليات النتصت علي الشنبكات 
5119و منها ما يتعلق بعمليات الإدعاء 50001109 و منها ما يتعلق بهجمات الحرمان 
من الخدمة 905 أو جمع المعلومات التحليلية بغرض التخطيط لعملية الإختراق الفردي 
أو الجماعي ... . عدم تطرقي لهذه المواضيع كان لسببين , أولا بسبب شدة تخصصها 
لدرجة أظن معها بأن المقالة ستفقد جاذبيتها و بساطتها ؛ و السبب الثاني هو أن 
هذه المواضيع هي عناوين عريضة جدا يمكن أن نؤلف بها كتبا وليس مقالات ولا أريد أن 
أضع عناوين غير موضحه بشكل كافي لكي لا أدع القارئ مشتت و قد يخرج من قراءة 
هذه المقالة بإنطباع سلبي! 


أتمنى أن أكون قد وفقت في طرح الموضوع بشكل سليم و وافي ؛ و أرغب بسماع 
عن هذا المعان. مهال اضث المعلوفات: 


ملاحظة هامة : لك مطلق الحرية عزيزي القارئ بنقل هذه المقالة إلى أي منتدى أو 
أي موقع آخر ؛ ولكن نرجو الإشارة برابط مباشر إلى مصدر المقالة وليس فقط الإكتفاء 
بذكر انها منقولة ! . هذه المقالة كلفت من الوقت و الجهد ما الله به عليم . لذا ساهم 
معنا في حفظ حقوق كاتب المقالة بالإشارة الواضحة لمصدر المقالة 


15 
تحميل المزيد من الكتب : زهج . 23272203 ط-22 3 ع1 . 1700/ / : قطصغعغط 





